Blog Données personnelles
Le piratage de la DGFIP : entre prévention indispensable et vigilance nécessaire face aux tentatives d’hameçonnage
Les faits
C’est en usurpant l’identité d’un agent de la DGFIP et d’un tiers habilité, que des pirates ont pu s’introduire dans les systèmes d’information de la Direction générale des Finances publiques. L’action malveillante a été repérée par l’administration en juin et juillet 2026 sans que l’administration soit en mesure d’identifier si des données avaient été récupérées. Les accès des personnes concernées ont alors été fermés. La DGFIP n’a eu connaissance de la violation de données que le 12 août dernier, après la revendication de l’attaque et des investigations plus approfondies. Dès la connaissance de l’intrusion, la DGFIP a, comme l’exige le RGPD, notifié à la CNIL cette violation de données personnelles. Un dépôt de plainte a également été effectué et le Service du Haut Fonctionnaire de Défense et de Sécurité (SHFDS) ainsi que l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) ont été et restent pleinement mobilisés.
Après recensement, il a été conclu que la violation de données concerne 678 000 particuliers et professionnels pour lesquels le tiers malveillant a consulté ou extrait des informations personnelles. L’intrusion a également donné lieu à un vol de données relatives au cadastre de nombreux biens immobiliers, notamment les adresses et surfaces.
La réponse de la DGFIP
A partir du 17 août pour les particuliers et du 24 août 2026 pour les professionnels, la DGFIP envoie un mail ou courrier d’information aux personnes concernées afin de les prévenir du vol de leurs données personnelles et les appelle à renforcer leur vigilance face à de potentielles tentatives d’hameçonnage, voire d’usurpation d’identité. Les données concernées sont les suivantes :
- Pour les particuliers : l’identifiant fiscal, l’état civil, les coordonnées (postales, téléphoniques et électroniques), la situation fiscale (situation de famille, nombre de personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source) et la liste des messages échangés avec la DGFiP par la messagerie d’impots.gouv.fr.
- Pour les professionnels : le numéro de SIREN, la dénomination, l’adresse de l’entreprise et des informations génériques sur les messages échangés avec la DGFIP par la messagerie d’impots.gouv.fr. Les déclarations et les paiements d’impôts réalisés via l’espace professionnel ou les coordonnées bancaires n’ont pas été consultés.
Il est à noter que les accès à l’espace des Finances Publiques n’ont pas été corrompus. Ni les identifiants, ni les mots de passe ne sont donc impactés par le vol de données, leur modification n’est pas donc demandée à ce stade.
Afin de répondre à cette attaque, les accès illégitimes des agents publics concernés ont été interrompus. Des mesures internes de sécurité complémentaires ont été mises en œuvre avec des coupures préventives d’accès à des systèmes d’information sensibles accessibles par les portails utilisés par les agents publics. La protection des comptes fiscaux des personnes concernées a été renforcée avec une attention particulière aux modifications pouvant intervenir dans les prochains mois. Des mesures de sécurisation supplémentaires ont été engagées sans délai et une enquête interne à la DGFIP est en cours.
La CNIL saisie a annoncé mener des investigations afin de vérifier que les mesures de sécurité mises en place par la DGFIP étaient conformes et suffisantes. En cas de manquement, la CNIL pourra prononcer des sanctions.
Les recommandations de la DGFIP et de la CNIL
Des recommandations générales ont été rappelées par la DGFIP et la CNIL pour veiller à la sécurité des particuliers et professionnels :
- surveiller toute activité suspecte liée à vos données personnelles, notamment fiscales ;
- ne jamais communiquer vos codes, identifiants, mots de passe ou coordonnées bancaires en réponse à une sollicitation ;
- accéder à votre espace professionnel en se connectant directement sur impots.gouv.fr et jamais en cliquant sur un lien le proposant ;
- adopter les bons réflexes en matière de sécurité, notamment en vérifiant régulièrement vos comptes, en signalant toute anomalie et en vérifiant l’expéditeur de message ;
- rester vigilant face aux tentatives d’hameçonnage à partir des données collectées (informations fiscales, adresse, etc.) : méfiez-vous de toute demande « urgente » par courriel, téléphone, réseaux sociaux ;
- conserver toutes les preuves (messages, adresse du site, captures d’écran…) si vous suspectez une utilisation frauduleuse de vos données ;
contacter la DGFIP au 0809 401 401 ou par votre messagerie d’impots.gouv.fr en cas de questions.
Et maintenant …
Au-delà de ces faits et de ces recommandations, le fait que le piratage concerne à la fois des données directement identifiantes (données d’état civil) et des données « métiers » (revenu fiscal de référence, taux de prélèvement à la source) pose question et semble traduire une insuffisance de cloisonnement entre ces catégories de données, ce qui pourtant constitue une bonne pratique désormais classique en matière de sécurité informatique.
C’est à cet égard ce qui est exigé dans les derniers référentiels publiés par la CNIL dans le domaine de la recherche en santé ou pour la constitution d’entrepôts de donnés de santé, données personnelles réputées sensibles. Certes les données de santé concernent l’intimité de la vie privée des individus et bénéficient d’une protection juridique particulière, mais l’évolution des architectures informatiques aujourd’hui conduit aussi à adapter les politiques de sécurité des systèmes d’information à l’ensemble des données personnelles.
Cet événement malheureux contribuera sans doute à accroître la vigilance des citoyens, qui au vu des nombreuses violations de données intervenues ces derniers mois dans le secteur privé comme dans le secteur public, adoptent progressivement des comportements plus avisés.